Így kezelem a bizalmat. Egyszerű szavakkal.

Biztonság

• 🔐 TLS 1.3 mindenhol (wildcard tanúsítvány, magától megújul). A HTTP átirányít HTTPS-re, HSTS bekapcsolva.
• 🔑 Jelszó nélküli belépés varázs-emaillel. Nincs jelszó, amit elveszíthetnél, nincs, amit ellophatnának.
• 🧾 CSRF-token minden űrlapon, ami módosít valamit. Szigorú Referer-ellenőrzés HTTPS-en.
• 🛡️ Content Security Policy Talismannel (szigorú script-források). A belépés és a regisztráció Redisen keresztül van rate-limitelve.
• 🗄️ Az adatbázis csak 127.0.0.1-hez van kötve, nincs nyitott publikus port. Éjszakánként titkosított mentés lemezre.
• 🕵️ Minden fontos művelet bekerül egy audit logba (látogatás rögzítve, jutalom beváltva, beállítás módosítva, ghost-belépés).

Megbízhatóság

• ⏱️ Hetzneren futtatva, Frankfurtban, az EU-ban. Publikus health check itt: /healthz.
• 💾 Éjszakai pg_dump mentés, 14 napig megőrizve. A visszaállítást magam tesztelem havonta egyszer.
• 📉 Ha valami elromlik, a javítás még aznap kimegy. Egy terméket viszek, nem ötvenet.
• 📊 Elérhetőségi cél 99,5 százalék (legrosszabb esetben körülbelül 3,5 óra kiesés havonta). SLA-jóváírás egyelőre nincs - az első szalonnal fogok szerződni, aki kéri.

Adatvédelem és GDPR

• 🇪🇺 Minden adat az EU-ban van (Hetzner, Frankfurt). Semmi nem hagyja el az EU/EGT-t, kivéve az email-kézbesítést a Brevón keresztül, ami szintén EU-s szervereken fut.
• 🚫 Nincs sütis külső analitika. Nincs Google Analytics, nincs Facebook Pixel, nincs session replay.
• 📤 Minden ügyfelet, látogatást és jutalmat CSV-be exportálhatsz a Beállításokból, amikor csak akarod.
• 🗑️ Egy ügyfél elfelejtést kér: egy kattintás az Ügyfeleknél törli a sorát és vele az egész előzményét.
• ⏳ Ha lezárod a fiókod, 30 napig még megkapod a teljes CSV-exportot. Utána minden végleg törlődik.
• 📄 Minden részlet itt: Adatvédelmi tájékoztató.

Sub-processors

These are the third parties that help me run fidel. Nothing else touches your data.

Full details, transfer basis, change notification policy in SUBPROCESSORS.md.

Cookies I set

First-party only. No third-party cookies, no cross-site trackers, no advertising IDs.

How long I keep things

• 👥 Client records - until you cancel your account (or click 🗑 on a specific client). Then 30-day grace window, then hard-deleted.
• 📊 Analytics events - 90 nap (funnel windows are 7 and 30 days; the extra buffer allows year-over-year sanity checks and is auto-purged nightly.)
• 📱 Kiosk QR tokens - 5 minutes (rotating anti-fraud); 1 day audit trace after expiry.
• 💾 Encrypted backups - 14 nap on disk, then rotated out.
• 📜 Web + app logs - 14-30 nap.

Full retention grid in RETENTION.md.

If something goes wrong

I have a written breach response plan with a 72-hour notification deadline to the Romanian supervisory authority (ANSPDCP) per GDPR Art 33, plus direct notification to every affected tenant. RTO 4 hours, RPO 24 hours, tested quarterly.

Full playbook in INCIDENT-RESPONSE.md.

Kié az adat

A tiéd. Az ügyféllistád a te üzleted, nem az enyém. Soha nem adom el, nem osztom meg mással, nem tanítok rajta gépi modelleket, és nem nézegetem az egyes ügyfélkartonokat, hacsak nem kérsz meg egy hiba kijavításához. Bármikor exportálhatod, viheted, ahová akarod.